@kafeman21 дек 2011 в 18:43

CSRF уязвимости на примере ХабраХабра

3 мин

30K

Информационная безопасность *

+343

Комментарии 67

@theslim 21 дек 2011 в 18:55

в представленном скрине кармы голосов 60, а на данный момент у вас 8 голосов. Как?

@kafeman 21 дек 2011 в 18:57

Воспользовался обнулением кармы.

@Injected 21 дек 2011 в 19:49

Кстати можно было еще как вариант впихнуть img в профиль а картинку залить на свой сервер с правильным .htaacess и туда заинклудить ваш запрос при помощи php.

@kafeman 21 дек 2011 в 19:50

Я бы не получил Cookie.

НЛО прилетело и опубликовало эту надпись здесь

@kafeman 21 дек 2011 в 19:03

Я не воспользовался этой уязвимостью. Да, дурак.

НЛО прилетело и опубликовало эту надпись здесь

@scorp13 21 дек 2011 в 21:39

Нет, не дурак.

@ngreduce 21 дек 2011 в 21:59

Тогда бы НЛО вас не простило. А так вы стали героем)

@buger 21 дек 2011 в 19:03

На самом деле для кросс-доменных запросов очень удобно использовать расширения в Google Chrome, так как там они разрешены.

@kafeman 21 дек 2011 в 19:04

Я буду просить об этом жертву? Поставьте, мол, такое то расширение, а то я не могу вас атаковать!

@kmeaw 21 дек 2011 в 19:07

Достаточно написать удобное расширение для пользователей хабра, которое, заодно, будет и автору карму поднимать.

@kafeman 21 дек 2011 в 19:10

В таком случае всё становится очень просто и не интересно. Я за спортивный взлом!

@Injected 21 дек 2011 в 19:51

расширения для chrome легко разбираются и рано или поздно, а скорее рано его бы вычислили.

@buger 21 дек 2011 в 19:05

ой, немного не в тему получился комментарий, не до конца врубился в начале )
Но все равно кому то пригодится )

@vip_delete 21 дек 2011 в 19:10

При голосовании всяко передаются кукисы с идентификатором сессии, заголовок X-Requested-With можно передать и в форме, и еще вы забыли сказать, что те пользователи, от имени которых идет скрытное голосование, должны быть авторизованы на хабре.

@kafeman 21 дек 2011 в 19:12

Кукисы передаются. Люблю Flash!

@vip_delete 21 дек 2011 в 19:15

Я не понял, почему у вас 404 ошибка получалась. Видимо, просто не все POST параметры передавали. Тут нет никакой разницы Ajax это запрос или нет.

@kafeman 21 дек 2011 в 19:17

404 потому что разработчики Хабра с юмором. На многие страницы, если у вас нет к ним доступа, даётся эта ошибка.

@burdakovd 21 дек 2011 в 21:06

При прочтении вашего комментария, из-за «404» в начале, подсознательно показалось, что его amarao написал :)

@kafeman 21 дек 2011 в 19:25

Кстати разница есть. Как раз об этом и была статья — вы пропустили главное :-)

@undead_ekb 21 дек 2011 в 19:15

kafeman, беги за инвайтом

@kafeman 21 дек 2011 в 19:17

Мне deniskin за сообщение об уязвимости уже дал один ещё несколько дней назад.

@mr_avi 21 дек 2011 в 19:19

А разве нельзя curl-ом послать нужные хэдэры? Или через JSONP.

@kafeman 21 дек 2011 в 19:21

Нет, т.к. нужны Cookie пользователя.

@alekciy 22 дек 2011 в 02:52

Я тоже сначала подумал в этом же духе. Но как то забылось, что атака то ведется через браузер жертвы. Поэтому получить куки с него мы не можем. И сформировать нужный заголовки тоже. Точнее не могли если бы не флеш.

@Evengard 21 дек 2011 в 19:31

А на referer проверки тож не идёт? Зря помом, зря. А то, как тут говорили, можно подделать с помощью всяких аддонов. referer конечно тоже подделать можно, но всё ж…

@kafeman 21 дек 2011 в 19:33

Я не знаю, но лишним не будет. Я только точно знаю, что проверяется X-Requested-With.

@EvgeniyKirov 21 дек 2011 в 19:35

Теперь это пост любви к django.middleware.csrf.CsrfViewMiddleware

@egorinsk 21 дек 2011 в 20:02

Мне интересно, чем думают люди, которые так легко, одним движением руки, разрешают кроссдоменные запросы с любого сервера? Что у них в голове? или это орудует то самое новое поколение кодеров, которое привыкло бездумно копипастить файлы и куски кода из интернета? Впрочем, я никогда и не считал флешеров настоящими программистами, мышкой квадратики перетаскивать-то много ума не надо.

@kafeman 21 дек 2011 в 20:06

На самом деле разработчики Хабра мне показались людьми хорошими. А разрешение они это дали, будете смеяться, для рекламы :-). (И ещё для habrastorage).
А многие Flash-программисты пишут всё в коде, без «квадратиков». Точно знаю, что так пишут программисты ВКонтакте.

@vmysla 26 дек 2011 в 14:52

прочитав статью — первым делом захотел проверить именно habrastorage. посмотрел crossdomain, cookie, whois — все в порядке… потом увидел этот комментарий)) спасибо за пост!

@GearHead 22 дек 2011 в 01:01

вы слышали о таком понятии, как API на сайтах?
уязвимость закрывать надо было, а не кросс-домен перекрывать. сам по себе последний безопасен.

@egorinsk 22 дек 2011 в 02:02

При чем тут уязвимость? Что вы за бред пишете? Если вы размещаете на своем сайте crossdomain.xml с allow-access-from = "*", вы открываете всем хакерам доступ к своему сайту. Это не уязвимость, так как это поведение документировано Adobe. Это халатность и безответственность скорее.

@GearHead 22 дек 2011 в 02:04

> Если вы размещаете на своем сайте crossdomain.xml с allow-access-from = "*", вы открываете всем хакерам доступ к своему сайту

ЛОЛШТО? :)

@Ekstazi 21 дек 2011 в 20:53

Есть еще firebug и dragonfly

@GearHead 22 дек 2011 в 00:56

разработчики хабра надеятся на отсутствие XSS? почему нельзя было встроить защиту от CSRF, а не перекрывать кроссдомен? если они потом захотят API сделать, да забудут про происшествие, и опять включат кросс-домен?

@GearHead 22 дек 2011 в 01:04

и кстати, я правильно понимаю, что все LiveStreet более старших версий уязвимы?

@alekciy 22 дек 2011 в 02:54

Хабр не на LiveStreet-е. А сам LiveStreet использует token-ы очень давно (если не с момента создания вообще).

@ZiNTeR 22 дек 2011 в 13:41

Дожились… Оказывается habrahabr подняли на Livestreet :)

@alekciy 22 дек 2011 в 14:43

Ну это известное заблуждение многих хаброжителей. Вплоть до того, что в каком-то из топиков в каментах было заявление о то, что нет народ, хабра крутиться не на LiveStreet-е.

@kafeman 22 дек 2011 в 03:59

API у ХабраХабра, кстати, есть. Документация.

@GearHead 22 дек 2011 в 04:01

там только GET-действия

@BeLove 22 дек 2011 в 03:46

Забавно, заготовка этой же статьи про csrf на Хабре лежит локально)
А если бы копали дальше — нашли бы кое что с SQL, там уже интереснее :) все времени докопать нет.

НЛО прилетело и опубликовало эту надпись здесь

@r_ii 22 дек 2011 в 08:23

Насколько я понимаю — нужно было всего-лишь послать правильный запрос? Тогда это также можно сделать модифицировав трафик с помощью HTTP дебаггера Fiddler2, или-же используя например IEWatch для ручного построения нужного запроса.

@Wolverine 22 дек 2011 в 09:26

авторизационная cookie нужна еще, чтобы проголосовать от имени человека

@r_ii 22 дек 2011 в 10:08

Ну а при чем здесь авторизация? И в первом и во втором случае вы авторизуетесь как обычно — через броузер. Вот дальше нужно послать специальный запрос, содержащий кроме куки, еще и X-Requested-With? Я правильно понимаю?
Если правильно — то добавить этот хедер можно с помощью Fiddler2 перехватив и модифицировав трафик вашего броузера. Также этот запрос можно построить с помощью билдера запросов в броузере (если таковой имеется в броузере).

@kafeman 22 дек 2011 в 11:59

И да и нет. Вы правильно поняли, что нужно составить правильный запрос, но не правильно поняли кто его должен послать. Посылать его должна жертва, а нашедший уязвимость. В этом и состояла вся задача, решить которую удалось с помощью Flash.

@ZiNTeR 22 дек 2011 в 13:44

Читайте внимательно: Уязвимость в том, что другой пользователь Хабра, открыв популярное приложение на vkontakte, автоматом проголосовал злоумышленнику в Карму…

НЛО прилетело и опубликовало эту надпись здесь

@kafeman 23 дек 2011 в 17:40

Я тут где-то на Хабре видел топик о кейлогере во Flash. Так что когда обратно заходить будете, он вас и поймает :-)
Уж лучше проголосовать за топик, чем дать полный доступ к аккаунту.

@lleo_aha 22 дек 2011 в 10:40

… запрос нужно выполнять с браузера жертвы… (авторизованного и не голосовавшего хабраюзера) — вот что пропущено вами и всеми подобными комментаторами

@kafeman 22 дек 2011 в 12:00

не голосовавшего хабраюзера
Это есть в топике

@lleo_aha 22 дек 2011 в 12:42

а это ответ не Вам :) это на коммент r_ii с http-дебаггерами

@nick4fake 22 дек 2011 в 09:31

Все слишком сложно. Вы не пробовали консоль хрома? Прекрасно работает на любом домене

@vla 22 дек 2011 в 10:37

Запрос будет только с вашими куками.

@Voyager2K 22 дек 2011 в 10:22

Возможно, нетерпеливый читатель уже решил, что я нашёл элементарную, очевидную каждому дыру? Как бы ни так! Все мои попытки подделать запрос приводили к одному и тому же:

Брр, мож я чего не понял. Запрос, заголовки XML request, кроссдомены… А разве дырка не тупо в том что на серверной стороне не сверяется сессия пользователя? И никакие ид юзера передавать в скрипт не нужно, хост должен узнать пользователя и так — если тот «законопослушный» и дал верный SID.

@vla 22 дек 2011 в 10:41

Проблема не в сессии, она и так проверяется.

@kafeman 22 дек 2011 в 10:54

Не проверяется сам ли пользователь нажал на стрелочку или кто-то это сделал без его ведома.

@kafeman 22 дек 2011 в 10:55

Точнее проверяется, но не точно. Я смог обойти эту защиту. Уязвимость исправили и сейчас уже так не сделать.

@ivsedm 22 дек 2011 в 12:31

Неплохо так автору подняли карму ))

@sphere 23 дек 2011 в 07:39

Она и в жизни теми же способами поднимается :)

@puffofsmoke 23 дек 2011 в 05:13

> Если у вас нет сайта, то думая договариваемся за Profit с владельцем крупного приложения ВКонтакте и заливаем код к нему. Охват 50% пользователей гарантирован.

50% пользователей этого приложения будут залогинены на хабре?

@Freem 23 дек 2011 в 08:35

Ага, 50% сидят на ферме

@Nc_Soft 25 дек 2011 в 22:07

Я надеюсь получить мои куки с хабра и послать их куда-то никакое флеш приложение не может?

@kafeman 26 дек 2011 в 10:30

Получить — нет, послать — только на страницу в домене habrahabr.ru

Зарегистрируйтесь на Хабре, чтобы оставить комментарий